コラム

• 

  3DS・チャージバック 政策

  2026/04/06

  3Dセキュア導入後、決済承認率が下がっていませんか？ 見落とされがちな「運用方式」の選択肢とは？

  2025年3月末、すべてのEC加盟店に対して3Dセキュア2.0（EMV 3-Dセキュア）の導入が義務化されました。 クレジットカードの不正利用被害額は2024年に555億円と過去最高を更新しており、義務化そのものは避けられない流れでした。 しかし、対応を終えた多くのEC事業者が今、別の問題に直面しています。 「3Dセキュアを入れたのに、CVR（コンバージョン率）が下がったまま戻らない」「カゴ落ちが増えた実感がある」――こうした声が、導入後に急増しています。 実は、3Dセキュアには複数の運用方式があり、どの方式を選ぶかによって売上への影響はまったく異なります。 本記事では、JCA（日本クレジット協会）が定める3つの運用方式の違いと、CVR低下の構造的な原因、そして売上を回復させるためのアプローチを解説します。 1．3Dセキュア義務化後にEC事業者が直面している現実 義務化は「対応して終わり」ではなかった 3Dセキュア2.0の導入義務化により、多くのEC事業者がシステム対応を完了しました。 しかし、導入後の月次レポートを見ると、CVRが導入前の水準に戻っていないケースが少なくありません。 YTGATE社の調査によると、EMV 3-Dセキュア導入後に決済承認率が95％台から85％前後へ低下し、8割の加盟店が「カゴ落ちが増えた」と実感しています。 65％以上の消費者が認証エラーを経験しているというデータもあり、「義務化対応＝問題解決」とはなっていないのが実態です。 3Dセキュアは不正利用を防ぐための仕組みですが、導入しただけでは売上への悪影響を最小化できない――この認識が、まず重要な出発点になります。 3Dセキュアの運用方式は「1つ」ではない 見落とされがちですが、JCA（日本クレジット協会）は3Dセキュアの運用について、不正対策のレベルに応じた3つの方式を認めています。 「方式①（リスク判断で認証）」は、包括的な不正防止体制が整っている加盟店が対象で、最大98％の取引を3DS認証なしで処理できます。AI不正検知や24時間体制の運用が必要で、カード会社の個別承認も求められます。 「方式②（初回登録時だけ認証）」は、カード登録時のみ3DS認証を実施し、以降のリピート購入は加盟店のリスク判断で処理するモデルです。アカウント乗っ取り防止（ATO対策）の実装が前提条件となります。 「方式③（毎回認証）」は、すべての決済で3DS認証を通すデフォルト運用です。特別な条件はなく、方式①②に該当しない加盟店は自動的にここに分類されます。 現在、大半のEC事業者はこの方式③で運用しています。 そして方式③こそが、CVR低下の構造的な原因になっています。 方式③がCVRを押し下げる「二重の痛み」 方式③で運用する加盟店は、2つの要因の掛け算で売上を失っています。 1つ目は、「追加認証を求められる割合の高さ」です。 3Dセキュア2.0ではリスクベース認証が導入されており、低リスクと判定された取引は追加認証なし（フリクションレス）で通過します。しかし、世界平均でも認証なしで通過できる割合は58〜64％にとどまっています（Ravelin社グローバル決済レポート）。つまり、全取引の約40％で追加認証が発生しているのが現状です。 3Dセキュア2.0のチャレンジ認証は、従来の固定パスワード方式から、ワンタイムパスワード（OTP）や生体認証へと移行が進んでいます。OTPはSMS・メール・専用アプリで発行され、「パスワードを忘れて離脱する」という1.0時代の課題は改善されました。 しかし、OTPには別の離脱要因が存在します。SMSが届かない（スパム判定・電波状況）、認証アプリの事前設定をしていない、メールの受信に気づかない――こうした理由で認証が完了できず、離脱するケースが依然として発生しています。 2つ目は、「追加認証画面での離脱率」です。 OTPや認証画面に遷移した利用者のうち、15〜25％が離脱すると報告されています。特に60代以上のカード会員では3Dセキュアの登録率自体がわずか約16％にとどまっており（かっこ社調査）、高単価商材や健康食品など、高齢者層が主要顧客であるECサイトへの影響は深刻です。...

  お知らせ一覧
• 

  3DS・チャージバック 政策

  2026/01/21

  不正ログイン対策、もう先延ばしできない セキュリティチェックリストが届いたEC加盟店へ【202...

  近年、不正ログインや不正利用への対策は、一部の大手事業者だけの課題ではなく、規模を問わずすべてのEC加盟店に求められるテーマになっています。2025年3月に公表されたクレジットカード・セキュリティガイドライン6.0では、3Dセキュアの義務化に加え、不正ログイン対策も必須要件として明確化されました。その影響を受け、決済代行会社（PSP）からセキュリティチェックリストが送付され、各加盟店の対策状況を確認する動きが広がっています。 本記事では、なぜ今このタイミングで不正ログイン対策が求められているのか、その背景を整理したうえで、売上と両立し得る現実的な選択肢を考えていきます。 1. なぜ今、EC加盟店は不正ログイン対策に「向き合わざるを得ない」状況になっているのか 義務化を理解しつつも対応を後回しにしてきた背景 不正ログイン対策や本人認証の強化が求められる流れ自体は、2024年から2025年にかけて、すでに業界内で広く共有されていました。実際、経済産業省のガイドライン改訂や、不正利用被害額の増加といった情報に触れ、3Dセキュアについては対応を完了しているEC加盟店は少なくありません。一方で、不正ログイン対策については、具体的に何をどこまで実装すべきか判断が難しく、CV低下や離脱増加への懸念から、後回しにされがちな領域でもありました。とくに中小規模のECでは、ログインや購入フローに手間が増えることが、そのまま売上減少につながるという感覚が根強くあります。 認証を強化した結果、初回購入やリピート初期で離脱が増えたという話を見聞きし、「セキュリティは重要だが、事業への影響が大きい施策は選びにくい」と判断するのは、当時としては決して不自然な選択ではありませんでした。 結果として多くのEC加盟店は、不正ログイン対策の必要性を理解しつつも、「いずれ対応すべきだが、今ではない」という判断を続けてきたのです。 決済代行会社からのチェックリスト送付が意味するもの 近年、決済代行会社（PSP）からセキュリティチェックリストが送付されるケースが増えています。このチェックリストは、不正ログイン対策や本人認証の実装状況を確認するための書類であり、多くの場合、「Yes」「No」での明確な回答が求められます。 重要なのは、これが単なる形式的な書類提出ではなくなっている点です。 これまで「推奨」や「努力目標」とされてきた対策が、実際に実装されているかどうかを確認・管理する対象へと変わりました。書類上でYesと回答する以上、実運用や仕組みが伴っていることが前提となります。 その結果、セキュリティ対策は加盟店の自主判断に委ねられるものではなく、PSPによって確認される事項として扱われるようになりました。 さらに、チェックリストには提出期限が設けられるケースもあり、これまでのように判断を先延ばしにすることが難しくなっています。 これ以上先延ばしにできない状況で起こり得るリスク セキュリティチェックリストを提出しない、あるいは実装が確認できない場合、PSP側から不正対策未実施と判断される可能性があります。 PSPは多数の加盟店を抱えているため、すべてを個別に精査することは現実的ではなく、判断はどうしても書類ベースにならざるを得ません。 その結果、対策状況が不明確な加盟店は、リスクの高い取引先として内部管理されることになります。即時ではなくとも、状況次第では段階的な制限がかかり、決済停止や利用制限に発展することもあります。 一度停止や制限がかかった場合、その解除には追加資料の提出や再審査が必要となり、想像以上の時間と工数を要するケースも少なくありません。 決済が止まることで発生する売上損失は、事前に対策を講じておくためのコストを大きく上回ることもあります。 こうした背景から、現在は不正被害が発生してから対応するのではなく、未然に防ぐことが前提となっています。 2. IP制限やMFAでは踏み切れない、不正ログイン対策のジレンマ IPアドレス制限が実運用で機能しにくくなっている理由 IPアドレス制限は、比較的導入が容易でコストも抑えやすいことから、不正ログイン対策の第一歩として多くのEC加盟店に採用されてきました。 大きなシステム改修を伴わずに導入できる点は、特に中小規模の事業者にとって現実的な選択肢だったと言えます。また、「海外IPを遮断すれば一定の不正は防げる」という考え方も、過去には一定の効果を発揮してきました。 しかし現在では、VPNやプロキシ、ボットを用いて国内IPや正規ユーザーと同じ地域からアクセスする手法が一般的になり、「海外IP＝怪しい」という単純な判別は通用しなくなっています。加えて、モバイル回線ではIPアドレスが頻繁に変動するため、正規ユーザーを誤って遮断してしまうケースも少なくありません。 その結果、IP制限はチェックリスト上では「対策済み」と回答できる一方で、実運用においては不安が残る対策になりやすくなっています。 本人確認を行う仕組みではない以上、手法を変えた不正を完全に防ぐことは難しいのです。 多要素認証（MFA）が離脱やCV低下につながりやすい現実...

  お知らせ一覧
• 

  フィッシング詐欺 認証

  2025/09/09

  “パスキーなら安全”は本当か——アコム登録停止で露呈したフィッシング耐性の限界

  近年、AIが悪用された高度なフィッシング攻撃の登場により、パスワードやSMS OTPといった従来の認証方式の脆弱性が露呈しています。 こうした背景から、パスキー（生体認証を含むFIDO準拠の認証方式）は、フィッシングに強く安全な代替手段として注目され、金融サービスをはじめ導入が進んでいます。しかし2025年7月末、大手消費者金融のアコムがセキュリティ上の理由から新規の生体認証登録を一時停止すると発表し、その“絶対的な安全神話”に揺らぎが生じています。 本記事では、アコムの発表内容とその背景、そして生体認証の限界を補う具体的な解決策について解説します。 1. アコムが生体認証登録の一時停止を発表 2025年7月31日に緊急告知 アコム株式会社は2025年7月31日付で、公式サイトにて「新たな生体認証登録を一時停止する」との緊急告知を発表しました。同社は、偽のログインページで利用者が情報を入力する被害が確認されたため、被害拡大を防ぐ目的で新規登録を一時停止したと説明しています。 これにより、アプリの初回ログイン時やログイン後に生体認証の新規登録を行おうとするとエラーが表示され、手続きが完了できない状態となっています。すでに登録済みの利用者には影響がないとされるものの、セキュリティへの信頼性に疑問を抱かせる結果となりました。 利用できなくなるサービス一覧と代替手段 今回の一時停止措置は「新規の生体認証登録」のみが対象で、既存ユーザーは従来どおり利用できます。一方で、未登録の利用者は、ローン申込や契約手続きの一部に支障が出るほか、以下の機能が利用できなくなります。 スマホATMでの借入 クレジットカード情報の確認 暗証番号照会 アプリ経由でのApple Pay・Google Pay登録 急ぎで融資を受けたい利用者については、「口座振込による借入」を代替手段として利用できると案内されています。 登録停止はあくまで一時的な措置とされていますが、再開の時期は明らかにされておらず、利用者は当面の間、最新の発表を確認しながら対応する必要があります。 2. なぜ“登録停止”という強硬策に至ったのか 消費者金融を狙うフィッシング詐欺の急増 2024年秋ごろから、消費者金融の利用者を狙ったフィッシング詐欺が急増しています。典型的な手口は、偽のメールやSMSを送付し、あるいは検索広告を経由して偽サイトへ誘導するというものです。 消費者金融には、攻撃者にとって狙いやすい特性がいくつかあります。 スマホからの利用が中心であり、リンクを踏んですぐにログインするケースが多い 急ぎで資金を必要とする利用者が多く、冷静な判断が難しい アプリ内でATM出金や決済、暗証番号照会といった価値の高い機能に直結している 攻撃の流れとしては、偽サイトに誘導された利用者が会員番号やパスワード、暗証番号を入力し、その直後に不正利用や登録フローの乗っ取りが行われるというものです。本物そっくりのドメイン（typoやPunycode）、緊急を装う文言、さらには偽のサポート電話を併用する例も確認されています。 今回のアコムによる登録停止も、こうした背景にある攻撃環境を踏まえた対応であり、特定の企業だけでなく業界全体に及ぶリスクが存在していることを示しています。 生体認証の導入目的と裏目に出たリスク...

  お知らせ一覧